(Version du 15.1.2010) Projet de règlement grand-ducal déterminant les catégories de données à caractère personnel générées ou traitées dans le cadre-de-Ia fourniture de services de communications électroniques ou de réseaux de communications publics
Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau;
Vu la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel;
Vu la loi modifiée du 5 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques et notamment ses articles 5 et 9 ;
Notre Conseil d'Etat entendu;
Sur le rapport de Notre Ministre de la Justice et de Notre Ministre des Communications et des Médias et après délibération du Gouvernement en conseil :
Arrêtons:
Art. 1er• Le présent règlement grand-ducal s'applique aux données relatives au trafic et aux données de localisation autres que les données relatives au trafic concernant tant les personnes morales que les personnes physiques, ainsi qu'aux données connexes nécessaires pour identifier l'abonné ou l'utilisateur enregistré. Le présent règlement ne s'applique pas au contenu des communications électroniques, notamment aux informations consultées en utilisant un réseau de communications électroniques.
Art. 2. Aux termes du présent règlement on entend par :
a) "données" les données relatives au trafic et les données de localisation, ainsi que les données connexes nécessaires pour identifier l'abonné ou l'utilisateur;
b) "service téléphonique" les appels téléphoniques (notamment les appels vocaux, la messagerie vocale, la téléconférence et la communication de données), les services supplémentaires (notamment le renvoi et le transfert d'appels), les services de messagerie et multimédias (notamment les services de messages brefs, les services de médias améliorés et les services multimédias);
c) "numéro d'identifiant" le numéro d'identification exclusif attribué aux personnes qui s'abonnent ou s'inscrivent à un service d'accès à l'Internet ou à un service de communication par l'Internet;
d) "identifiant cellulaire" le numéro d'identification de la cellule où un appel de téléphonie mobile a commencé ou a pris fin;
e) "appel téléphonique infructueux" toute communication au cours de laquelle un appel téléphonique a été transmis mais est resté sans réponse ou a fait l'objet d'une intervention de la part du gestionnaire du réseau.
Art. 3. (1) Sont à conserver:
a) les données nécessaires pour retrouver et identifier la source d'une communication:
1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile:
i) le numéro de téléphone de l'appelant;
ii) les nom et adresse de l'abonné ou de l'utilisateur inscrit;
2) en ce qui concerne l'accès à l'Internet, le courrier électronique par l'Internet et la téléphonie par l'Internet:
i) le(s) numéro(s) d'identifiant attribuées) ;
ii) le numéro d'identifiant et le numéro de téléphone attribués à toute communication entrant dans le réseau téléphonique public;
iii) les nom et adresse de l'abonné ou de l'utilisateur inscrit à qui une adresse IP (protocole Internet), un numéro d'identifiant ou un numéro de téléphone a été attribué au moment de la communication;
b) les données nécessaires pour identifier la destination d'une communication:
1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile:
i) le(s) numéro(s) composé(s), (le(s) numéro(s) de téléphone appelées) et, dans les cas faisant intervenir des services complémentaires tels que le renvoi ou le transfert d'appels, le(s) numéro(s) vers le(s)quel(s) l'appel est réacheminé ;
ii) les nom et adresse de l'abonné (des abonnés) ou de l'utilisateur (des utilisateurs) inscrit(s) ;
2) en ce qui concerne le courrier électronique par l'Internet et la téléphonie par l'Internet :
i) le numéro d'identifiant ou le numéro de téléphone du (des) destinataire(s) revues) d'un appel téléphonique par l'Internet;
ii) les nom et adresse de l'abonné (des abonnés) ou de l'utilisateur (des utilisateurs) inscrit(s) et le numéro d'identifiant du destinataire prévu de la communication;
c) les données nécessaires pour déterminer la date, l'heure et la durée d'une communi cation:
1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile, la date et l'heure de début et de fin de la communication;
2) en ce qui concerne l'accès à l'Internet, le courrier électronique par
i) la date et l'heure de l'ouverture et de la fenneture de la session du service d'accès à l'Internet dans un fuseau horaire détenniné, ainsi que l'adresse IP (protocole Internet), qu'elle soit dynamique ou statique,attribuée à une communication par le fournisseur d'accès à l'Internet, ainsi que le numéro d'identifiant de l'abonné ou de l'utilisateur inscrit;
ii) la date et l'heure de l'ouverture et de la fenneture de la session du service de courrier électronique par l'Internet ou de téléphonie par l'Internet dans un fuseau horaire détenniné;
d) les données nécessaires pour détenniner le type de communication:
1) en ce qui concerne la téléphonie fixe en réseau et la téléphonie mobile, le service téléphonique utilisé;
2) en ce qui concerne le courrier électronique par l'Internet et la téléphonie par l'Internet, le service Internet utilisé;
e) les données nécessaires pour identifier le matériel de communication des utilisateurs ou ce qui est censé être leur matériel:
1) en ce qui concerne la téléphonie fixe en réseau, le numéro de téléphone de l'appelant et le numéro appelé;
2) en ce qui concerne la téléphonie mobile:
i) le numéro de téléphone de l'appelant et le numéro appelé;
ii) l'identité internationale d'abonné mobile (IMSI) de l'appelant;
iii) l'identité internationale d'équipement mobile (IME!) de l'appelant;
iv) l'IMSI de l'appelé;
v) l'IMEI de l'appelé;
vi) dans le cas des services anonymes à prépaiement, la date et l'heure de la première activation du service ainsi que l'identité de localisation (identifiant cellulaire) d'où le service a été activé;
3) en ce qui concerne l'accès à l'Internet, le courrier électronique par l'Internet et la téléphonie par l'Internet:
i) le numéro de téléphone de l'appelant pour l'accès commuté;
ii) la ligne d'abonné numérique (DSL) ou tout autre point tenninal de l'auteur de la communication;
f) les données nécessaires pour localiser le matériel de communication mobile:
1) l'identité de localisation (identifiant cellulaire) au début de la communication;
2) les données pennettant d'établir la localisation géographique des cellules, en se référant à leur identité de localisation (identifiant cellulaire), pendant la période au cours de laquelle les données de communication sont conservées.
(2) Les données relevant le contenu de la communication et les données relatives aux appels non connectés ne sont pas conservées.
Art. 4. (1) Les données conservées sont soumises aux exigences prévues aux articles 22 (1) et 23 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel.
(2) La Commission nationale pour la protection des données telle que visée à l'article 32 de la loi modifiée du 2 août 2002 précitée veille au respect des dispositions du présent article.
(3) Les données sont détruites lorsque la durée de conservation prend fin, à l'exception des données auxquelles on a pu légalement accéder et qui ont été préservées.
Art. 5. Les données visées par le présent règlement sont à communiquer aux autorités ou organes compétents conformément aux conditions prévues par les articles 5 paragraphes (1) (a) et (2) et 9 paragraphes (1) (a) et (2) de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques.
Art. 6. (1) La Commission nationale pour la protection des données transmet annuellement à la Commission de l'Union européenne des statistiques sur la conservation de données traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public.
A cet effet les fournisseurs de services ou opérateurs conservent et continuent à la Commission nationale, sur demande de celle-ci, les informations comprenant notamment:
les cas dans lesquels des informations ont été transmises aux autorités compétentes conformément à la législation nationale applicable,
le laps de temps écoulé entre la date à partir de laquelle les données ont été conservées et la date à laquelle les autorités compétentes ont demandé leur transmission,
les cas dans lesquels des demandes de données n'ont pu être satisfaites.
(2) Ces statistiques ne contiennent pas de données à caractère personnel.
Art. 7. Notre Ministre des Communications et des Médias et Notre Ministre de la Justice sont chargés de l'exécution du présent règlement qui sera publié au Mémorial.
Exposé des motifs et commentaire des articles
Le projet de règlement grand-ducal sous examen transpose en droit luxembourgeois certaines dispositions de la directive 2006/24/CE du Parlement européen et du Conseil du 15 mars 2006 sur la conservation des données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE.
Le projet de règlement grand-ducal vise à exécuter l'obligation de conservation des données - dont le principe est inscrit aux articles 5 et 9 de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques en déterminant les catégories de données à conserver conformément aux articles 5 et 9 de la loi modifiée du 30 mai 2005 précitée.
Ad article
rr :
Bien que l'article 1 er rentre dans le champ d'application de l'article 1 er de la loi modifiée du 30 mai 2005 précitée, il est proposé, dans un souci de transposition complète de la directive 2006/24/CE, de préciser le champ d'application du projet de règlement grand-ducal en indiquant que le règlement concerne tant « les personnes morales que les personnes physiques », qu'il s'applique «aux données connexes nécessaires pour identifier l'abonné ou l'utilisateur enregistré» tandis que «le contenu des communications électroniques, notamment les informations consultées en utilisant un réseau de communications électroniques» est exclu. L'article 1 er du projet reprend ainsi le libellé de l'article 1er paragraphe (2) de la directive 2006/24 en remplaçant toutefois l'expression d' «entités juridiques» par celles de «personnes morales », jugée plus appropriée.
Ad article 2 :
L'article 2 reprend les définitions de l'article 2 de la directive 2006/24 à l'exception de celle de «l'utilisateur» qui est couverte par la définition de l'article 2 (m) de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. La reprise des définitions de l'article 2 de la directive 2006/24 se justifie par rapport aux catégories de données à conserver (article 5 de la directive 2006/24) auxquelles elles se réfèrent.
Ad article 3 :
L'article 3 transpose l'article 5 (catégories de données à conserver) de la directive 2006/24. Il s'agit d'une transposition fidèle du texte de la directive 2006/24 qui ne nécessite pas de commentaire supplémentaire.
Ad article 4 :
Il résulte du considérant no. 16 de la directive 2006/24 que les prestataires de services ont l'obligation de garantir la sécurité du traitement des données qui résulte des articles 16 et 17 de la directive 95/46. L'article 7 (protection et sécurité des données) de la directive 2006/24 oblige les fournisseurs de services de communications électroniques à respecter un minimum de principes pour assurer la sécurité des traitements.
Même si le libellé des lettres a) à c) de l'article 7 de la directive n'est pas identique à celui des articles 22 et 23 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, l'article 4 paragraphe (1) du règlement sous examen se contente de faire référence aux articles 22 et 23 de la loi modifiée du 2 août 2002 précitée. Il s'agit-là des mêmes standards que ceux établis par exemple par la Convention « Europol » que chaque responsable du traitement de données à caractère personnel doit mettre en œuvre.
La lettre d) de l'article 7 de la directive est couverte par le principe général établi aux articles 5 (1) (b) et 9 (1) (b) de la loi modifiée du 2 août 2002 précitée qui prévoit qu'après la période de conservation prévue, le fournisseur de services ou l'opérateur est obligé d'effacer les données relatives au trafic et les données de localisation autre que les données relatives au trafic concernant les abonnés et les utilisateurs, ou de les rendre anonymes. Néanmoins le projet sous examen reprend le libellé exact de la lettre d) de l'article 7 de la directive, ceci sur demande de la Commission. Les données qui tombent sous le champ de la directive « data retention » sont donc détruites à l'expiration de la durée de conservation sauf exception telle que prévue au paragraphe (3) de l'article 4 du projet de règlement.
Pour des raisons de transposition complète de la directive, le paragraphe (2) de l'article 4 du projet de règlement sous examen transpose l'article 9 (autorité de contrôle) de la directive 2006/24, bien que la Commission nationale pour la protection des données soit déjà chargée d'assurer l'application des dispositions de la loi modifiée du 30 mai 2005 précitée et de ses règlements d'exécution par le biais de l'article 12 de la loi modifiée du 30 mai 2005 précitée.
A d article 5 :
L'article 5 du projet de règlement sous examen transpose l'article 4 de la directive 2006/24 et ne fait que renvoyer aux articles 5 (1) (a) et (2) et 9 (1) (a) et (2) de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, conformément aux conditions y prévues.
Ad article 6 :
L'article 6 du présent projet de règlement transpose l'article 10 de la directive 2006/24 relatif aux statistiques en précisant les obligations et le contenu quant à l'établissement des statistiques. Comme il s'agit d'une obligation de transmission à l'égard de la Commission de l'Union européenne, il importe de préciser les tâches des personnes visées.
A d article 7 :
Cet article prévoit la formule exécutoire d'usage en matière de règlements grand
ducaux et ne nécessite pas d'autres observations.
